Active Directory

[Tamas GAL]

figyelem, hosszu lesz.

Sinkó Gábor Zoltán wrote:

> mert most úgy érzem haladni haladok csak nem látom a végét. 

nem baj. de komolyan, igy az OK.

ezt mindenkinek vegig kell csinalni 1x. ezert nem szoltam a szoftver 
restrikcios resznel se. nincs olyan h en adok sablont, te meg hasznalod, 
jol. ez (marmint a csoporthazirend) tipikusan az a dolog amihez egy 
kenyelmes szek es egy fenek kell, plusz ket gep amivel tesztelheted. ti. 
az elso problemanal total leakadsz, ha mastol jon a sablon (ezert utalom 
az SBS gyari sablonjait, az elso lepes hopgy torlom ezeket).

aki viszont egyszer vegigkinlodja, annak osszeall, es aztan 
keszsegszinten tudja majd hasznalni, sot boviteni, testreszabni, stb. hajra!

amiben segithetek, az par fogalom tisztazasa:

- a hazirend ervenyesules sorrendje egy tartomanyi gepen, a hatast 
tekintve erosodo sorrendben:

Local (helyi) > Site (telephely) > Domain (tartomany) > OU (azaz 
szervezeti egyseg).

ebbol tipikusan a domain-t es az OU-t szoktuk piszkalni (a site, azaz 
tobb telephely nem jellemzo, egy windows domainban meg miert kene a 
helyit piszkalni egyesevel kulon-kulon mikor ott a csoporthazirend, 
kozpontilag). a domaint (default domain policy) akkor hekkeljuk ha 
BIZTOSAN minden gepen akarunk egy beallitast, a szerverektol az utolso 
kliensig. a tobbit OU-k szerint tesszuk meg, akar kulon-kulon. van meg 
egy speci, a tartomanyvezerloi hazirend (default domain controlleres 
policy). ez utobbival banjunk ovatosan, 5 eve meg a w2k-nal egyszer ugy 
kizartam magam (mint domain admint) a tartomanybol h ujratelepites lett 
a vege :D

- hierarchia: az elozo pont miatt, nalam evfolyamonkent, azon belul 
osztalyonkent is szet vannak szedve a tanulok, a tanarok meg kulon. igy 
- mivel OU-nkent kulon meg lehet adni egy-egy hazirend objektumot (GPO)- 
akar olyat is csinalhatok, hogy egy evfolyamnak kozos, majd azon belul 
osztalyonkent eltero.

- minden GPO kulon hat userre es gepre. nalam a gepek tantermek es 
szertarak szerint szinten kulon OU-ba vannak.

- hivatkozas: egy GPO-t egyszer kell elkeszitenni es a cimtarba berakni, 
majd aztan szamtalan ujabb OU-nal hivatkozassal (link) hozza lehet adni. 
egy nalam van vagy 40 OU, de GPO csak 5-6 (diak, halado diak, tanar, 
halado tanar, infotanar es technikai/gazdasagi). ne felejtsuk h a 
tartomanyi rendszergazdak alapbol kivetelt jelentenek, szep is lenne, ha 
nem igy lenne. :)

- oroklodes es oroklodes tiltas: mivel egymasba agyazodnak az OU-k, 
illetve ott van a tetejen a domain is, ezert letezik az oroklodes 
(inheritance). ez automatikus allapotaban fentrol lefele csorgo. 
ellenben lehetseges tiltani barmelyik GPO eseten (block inheritance). ez 
felfoghajtuk ugy mint egy esernyot, amely nem engedi "lecsorogni" a 
policyt. ellenben lehetseges fentrol azt is beallitani, hogy 
mindenkeppen hajtodjon vegre a lentebb levo OU-kon is a hazirend 
(Override), akar tiltva van az oroklodes, akar nem. ezt meg ugy szoktuk 
szemleltetni, hogy ez az opcio egy betondarab, amely hullik lefele, es 
kozben az esernyo nem fogja meg :)

- GPMC: egy uj eszkoz a w2k3-tol a hazirendek korrekt egyseges 
kezelesere, nagyon ajanlom, irtam is rola, itt:
http://www.sulinet.hu/tart/cikk/qd/0/24061/1

-- 
Tamas GAL
Systems Engineer
TJSZKI/Hungary